Field UI ist das Kernmodul hinter den Verwaltungsseiten, auf denen Website-Betreiber Felder und deren Anzeige konfigurieren. Drupal bewertet die Lücke mit 19 von 25 Punkten der projekteigenen Risikoskala – der Stufe, die das Projekt als kritisch bezeichnet. Welche beigesteuerten Module einen Angriffspfad öffnen, nennt der Sicherheitshinweis nicht; auch eigener Code kann die Lücke exponieren. Als Melder werden Drew Webber vom Security Team und Octavio Galland genannt.
Korrigierte Versionen je unterstütztem Zweig:
- Drupal 11.4.x: 11.4.10
- Drupal 11.3.x: 11.3.19
- Drupal 10.6.x: 10.6.19
- Drupal 12.0.0 beta: 12.0.0-beta2, nicht für den Produktivbetrieb bestimmt
Keine Korrektur erhalten Drupal 11.2.x und älter, 10.5.x und älter sowie Drupal 8 und 9 – sie haben das Ende ihrer Lebensdauer erreicht. Für 11.3.x und 10.6.x endet die Sicherheitsunterstützung im Dezember 2026.
In der Woche ab dem 4. Oktober meldeten 531.499 Websites ihre Drupal-Kernversion an drupal.org. Davon liefen 151.442 (28,5 Prozent) auf einem Zweig, den der Sicherheitshinweis als betroffen aufführt und für den es keine Korrektur gibt.
Wer nicht sofort aktualisieren kann, kann laut Sicherheitshinweis das Modul Field UI (field_ui) deinstallieren; das „bietet Schutz, während die Websites aktualisiert werden". Solange das Modul deinstalliert ist, stehen die Verwaltungsseiten für Felder und deren Anzeige nicht zur Verfügung. Field UI wird vom Standard-Installationsprofil von Drupal mitinstalliert, ist auf so aufgesetzten Websites also vorhanden, sofern es niemand entfernt hat.
Drupal Steward, ein Dienst für Web Application Firewalls mit Regeln des Security Team, blockiert bereits einige bekannte Angriffsvektoren für diese Lücke. Acquia, Pantheon, Ironstar und Skpr betreiben ihn für ihre Kunden. Der Dienst deckt jedoch nicht jeden möglichen Angriff ab; auch diese Websites sollten dem Sicherheitshinweis zufolge aktualisiert werden.
Zum Zeitpunkt der Veröffentlichung stufte der Sicherheitshinweis die Verfügbarkeit öffentlichen Exploit-Codes als nicht gegeben ein. Bis zum 15. Oktober war kein solcher Code aufgetaucht, und weder der Sicherheitshinweis noch öffentliche Berichte beschrieben Angriffe. Das Security Team hatte die Veröffentlichung am 12. Oktober vorab angekündigt und Betreibern geraten, Zeit dafür einzuplanen, „weil Exploits innerhalb von Stunden oder Tagen entwickelt werden könnten". Im Mai hatte Drupal Ausnutzungsversuche binnen zwei Tagen nach einem Sicherheitshinweis zu einer SQL-Injection-Lücke im Kern gemeldet, die nur Websites mit PostgreSQL betraf; die CISA nahm diese Lücke in ihren Katalog ausgenutzter Schwachstellen auf.
Technisch baut Field UI seine Verwaltungstabellen aus Render-Arrays auf, also den PHP-Arrays, die Drupal in HTML umwandelt. Vor der Korrektur führte der Pre-Render-Schritt des Tabellenelements über call_user_func_array jedes PHP-Callable aus, das eine Tabellenzeile in ihrer Eigenschaft #region_callback trug – ohne Prüfung, worum es sich dabei handelte. Drupals Renderer verweigert seit Version 8.8 aus dem Jahr 2019 die Ausführung nicht vertrauenswürdiger Render-Callbacks; diese Einschränkung wurde eingeführt, nachdem frühere Sicherheitshinweise gezeigt hatten, dass das Render-System zu leicht beliebige Callbacks aufrufen konnte. Da der Renderer den eigenen Methoden des Tabellenelements vertraut, führte er den Pre-Render-Schritt aus – die Prüfung erreichte das anschließend aufgerufene Callable nie.
Der Code in 11.4.10 ruft den Callback nicht mehr auf. Stattdessen liest er die Region jeder Zeile aus deren eigenem Regionswert und verwendet die versteckte Region der Tabelle oder, falls der Wert keiner bekannten Region entspricht, deren erste Region. Der betreffende Aufruf steckte mindestens seit Drupal 8.9.0 aus dem Jahr 2020 im Code.
Im Kern selbst wird der Callback ausschließlich von den Anzeigeformularen von Field UI gesetzt. Eigener Code, der #region_callback für eine field_ui_table-Zeile gesetzt hat, wird nach dem Update nicht mehr ausgeführt. Pantheon rät Betreibern, solchen Code zu prüfen und die Seiten zur Feld- und Anzeigeverwaltung nach dem Update zu testen.
Unabhängig davon erhielt das Modul Entity List einen eigenen Sicherheitshinweis zu einer kritischen Schwachstelle für Codeausführung aus der Ferne (CVE-2026-108099) unter denselben Bedingungen, einschließlich eines bekannten Pfads ohne Anmeldung. Der Release-Hinweis zu Version 3.0.10 beschreibt die Korrektur als Nachbildung der Field-UI-Änderung; ein Update des Kerns aktualisiert das Modul nicht. In der Woche ab dem 4. Oktober meldeten 90 Websites dessen Einsatz.
Dieselben Kernversionen beheben zudem zwei als mäßig kritisch eingestufte Cross-Site-Scripting-Lücken: im Modul Link (CVE-2026-108515) und im Modul Navigation (CVE-2026-108514). Beide setzen mindestens einen angemeldeten Benutzer voraus.
Drupal 7 erreichte im Januar 2025 auf drupal.org das Ende seiner Lebensdauer. Nach Angaben von Pantheon hat dessen Langzeitunterstützung für Drupal 7 gemeinsam mit Tag1 Consulting die Version 7.107 mit einer Rückportierung der Korrektur ausgeliefert.